條款之卷

生效日期：

知命 Mingful（下称"本服务"）重视您的隐私。本政策说明我们如何收集、使用、保存与保护您的个人信息，以及您所享有之权利。本政策同时符合中华人民共和国《个人信息保护法》（PIPL）、香港《个人资料（私隐）条例》（PDPO）及欧盟《通用数据保护条例》（GDPR）之基本要求。

1. **账户信息**：邮箱地址、显示名称及登录凭证（如使用密码，以单向哈希方式保存）。您可使用邮箱验证码登录，或选择 Google／Apple 登录。使用第三方登录时，我们接收该服务的账户标识符、已提供的名称及邮箱地址（Apple 可提供私密转发地址），用以验证身份及关联知命账户；我们不会取得您的 Google 或 Apple 密码。使用 Apple 登录时，我们亦会加密保存授权刷新凭证，以处理账户安全及删除时的授权撤销。 2. **生辰信息**：阳历／农历出生日期、出生时辰、时区、出生城市、性别、称呼。此为命理推算所必需。 3. **选填扫描照片**：脸部、左掌和右掌拍摄均为选填。当您选择拍摄时，应用会通过加密传输，使用短效预签名网址将原始照片上传至私有 Cloudflare R2，供系统衍生所选的脸部或掌纹特征。 4. **付款信息**：我们**不**直接存储完整信用卡号或支付宝／微信账号。网站付款由 Stripe、Airwallex 处理；应用内付款由 Apple App Store 或 Google Play 处理。我们接收核实购买所需的交易标识符、收据或购买凭证、产品、金额、币种及订阅状态，并将购买记录关联至知命账户，用于开通权限、恢复购买及处理退款。 5. **使用信息**：页面浏览、点击事件、设备型号、浏览器、大致地区（IP 首段）、崩溃报告。用于产品改善与安全防护。 6. **Cookie 与相似技术**：用于登录状态保存、偏好记忆与匿名化之统计分析。 7. **通知信息**：启用推送时，我们保存应用安装标识符、推送凭证、所关联的知命账户、设备平台、语言、时区、提醒时间及通知偏好，并记录发送状态，以避免重复通知及处理传送失败。试用提醒亦使用已验证的邮箱地址及商店核实的试用结束时间。

1. 推算并书写您所订购之命书。 2. 按您的通知设置发送今日运势已备妥的提醒，并发送命书完成通知、付款收据、试用到期提醒及重要政策更新。试用提醒于结束前三日发往已验证的邮箱地址；推送提醒由您自行选择。您可在应用及设备设置管理推送，拒绝推送不影响邮箱试用提醒。 3. 防止滥用、欺诈与违法行为。 4. 于匿名化或聚合后进行产品改善。

我们**不会**将您的生辰、照片、命书内容出售予第三方，亦**不会**将其作为训练任何第三方模型之素材。

我们仅于以下情形共享您的信息：

1. **必要服务提供者**（于最小必要范围）： - Google（Gemini 模型，命书文字生成） - Fireworks.ai（视觉模型，于所选扫描流程需要深读处理时识别特征形态） - Supabase（数据库托管，位于新加坡／香港） - Cloudflare R2（私有保存选填扫描原档及公开分享卡；扫描照片以短效预签名网址及加密传输上传） - Stripe、Airwallex（网站付款）；Apple App Store、Google Play（应用内付款及订阅核实） - Google、Apple（您选择使用的第三方登录） - Resend（电邮发送） - Google Firebase Cloud Messaging、Apple Push Notification service（推送凭证及通知传送） - Sentry、PostHog（错误与匿名事件分析） 2. **法律要求**：如应香港或您所在地之合法主管机关之强制命令。 3. **业务转让**：如发生合并、收购或资产转让，受让方须接受同等保护义务。

所有第三方服务商均与我们签订数据处理协议（DPA）。

| 类别 | 默认保存期 | |---|---| | 账户信息 | 账户存续期间 | | 生辰信息 | 账户存续期间（为您重读命书所必需）| | 选填的脸部、左掌和右掌原始照片 | 拍摄后 20 小时到期。系统每小时清理；若到期原档存留至 24 小时，会触发存留告警。 | | 扫描衍生数据 | 保留至替换、删除来源或删除账户。 | | 命书文字 | 账户存续期间 | | 付款记录 | 七年（为税务法规要求）| | 使用日志 | 十二个月 | | 推送安装及通知记录 | 账户存续期间；安装信息在解除登记时移除，账户删除时移除相关通知信息。 | | Apple 登录授权刷新凭证 | 加密保存至账户删除流程完成；可用授权会先向 Apple 撤销，再移除凭证。 |

账户删除进入终止状态时，系统会删除对象键记录及所有者／恢复标识；终止状态的删除元数据会及时去标识化，仅含状态与时间戳的壳层会在 30 天时删除。尚未终止的删除工作会保留必要标识，直至能够安全完成。因税务法规保留的付款记录不包含在账户内容删除内。

如 Apple 授权需要重新确认，删除流程会请您再次登录 Apple。如无法取得撤销所需的凭证，流程会说明如何在 Apple 账户设置手动停止使用 Apple 登录，并要求您确认后才继续；我们不会将未确认的撤销标示为成功。删除知命账户不会取消 App Store 或 Google Play 订阅，请另往购买商店取消。

无论您身处何地，您均享有下列权利：

1. **查阅权**：要求我们告知您之信息内容。 2. **更正权**：要求更正错误信息。 3. **删除权**（被遗忘权）：要求彻底删除您之信息。 4. **限制处理权**：要求暂停某类处理。 5. **可携权**：要求以机器可读格式导出您之信息。 6. **反对权**：反对行销类通讯（您可于电邮底部一键退订）。

如您为中国大陆（PIPL）用户，您可向网信部门投诉；香港（PDPO）用户可向私隐专员公署投诉；欧盟（GDPR）用户可向当地数据保护机关投诉。

行使上述权利请来函：support@predvix.com。我们将于三十日内回覆。

由于我们使用位于新加坡、美国、欧盟等地之云端服务商，您之信息可能跨境传输。我们以标准合同条款（SCC）、加密传输及最小必要原则保障您之信息安全。

本服务不面向未满十八岁之使用者。如我们发现已收集未成年人信息，将立即删除。

1. 传输层全程 HTTPS 加密。 2. 扫描原档会通过加密传输及短效预签名网址送往私有 Cloudflare R2，并以静态加密保存至 20 小时到期，或在更早的来源／账户删除时移除。 3. 仅授权工程人员于排查问题时方能短暂接触个别记录，并留有稽核日志。 4. 如发生信息外泄事件，我们将于七十二小时内通知主管机关与受影响用户。

我们使用三类 Cookie：

- **必要 Cookie**：登录状态、语言偏好。 - **分析 Cookie**：PostHog 假名化事件采用严格自愿加入，并以您的账户偏好为准。服务器发送前会以专用 HMAC 将账户 UUID 转为稳定假名，PostHog 不会收到原始账户 UUID。撤回同意后，系统会立即停止新增收集、移除设备与服务器中尚未发送的事件，并去标识化数据库内已发送的审计行；但撤回提交时已开始的外部请求无法召回，而先前已送达托管 PostHog 的历史事件须另经授权之运营人员／数据主体删除流程处理。 - **行销 Cookie**：**本服务不使用任何第三方广告追踪 Cookie**。

本政策如有修订，新版本将于本页公布，重大修订将另以电邮通知。

如对本政策有任何疑问或欲行使您之信息权利，请来函：support@predvix.com

---

知命 Mingful · 香港 本服务为娱乐参考，不构成任何建议。